Zum Inhalt springen
AurionAI

Erlaubte private Adressen (SSRF-Allowlist)

4 Min. LesezeitVon Emmanuel Yazbeck

AurionAI überprüft jede Adresse, die ein Workflow aufruft, um Ihre Organisation und AurionAI vor Anfragen an interne Systeme zu schützen. Standardmäßig kann ein Workflow nur öffentliche Adressen aufrufen. Auf der Seite SSRF-Freigabeliste kann ein Administrator bestimmte Adressen in privaten Netzwerken für die Schritte HTTP-Anfrage und Webhook senden Ihrer Workflows freigeben.

Verfügbarkeit: Profile Helpdesk und AI Voice + Helpdesk. Nur Administratoren.

Voraussetzungen

  • Sie haben die Rolle Eigentümer oder Administrator. Andere Benutzer sehen Zugriff verweigert.
  • Ihre Organisation verwendet das Profil Helpdesk oder AI Voice + Helpdesk.

Wirkung eines Eintrags

  • Ein Eintrag erlaubt den Schritten HTTP-Anfrage und Webhook senden Ihrer Workflows, diese Adresse im privaten Netzwerk aufzurufen. Der Eintrag gilt nur für Ihre Organisation.
  • Ein Eintrag öffnet jeden Port der Adresse. Er beschränkt die Anfrage nicht auf einen einzelnen Port.
  • Öffentliche Adressen funktionieren ohne einen Eintrag.
  • AurionAI blockiert immer Loopback-Adressen (localhost, 127.0.0.1, ::1) und Cloud-Metadatenadressen (zum Beispiel 169.254.169.254). Diese können nicht zur Liste hinzugefügt werden.
  • AurionAI blockiert immer die Netzwerke der AurionAI-Plattform selbst sowie cluster- oder cloud-interne Hostnamen. Diese können nicht zur Liste hinzugefügt werden.
  • Ein Eintrag hat keine Auswirkung auf Benachrichtigungs-Webhooks, auf Slack-Schritte oder auf andere ausgehende Anfragen. Diese benötigen immer eine öffentliche Adresse.
  • Ein Eintrag hat keine Auswirkung, wenn eine Variable den Hostnamen der URL angibt. Schreiben Sie den Hostnamen oder die Adresse direkt in die URL.
  • Wenn eine erlaubte Adresse mit einer Weiterleitung zu einer privaten Adresse antwortet, blockiert AurionAI die Weiterleitung. Dies gilt auch für eine Weiterleitung zur selben Adresse oder zum selben Hostnamen.
  • Jede Anfrage, die ein Eintrag erlaubt, wird im Audit-Log festgehalten.

Eintragsformate

Ein Eintrag ist eines der folgenden:

  • eine private IPv4-Adresse, zum Beispiel 10.20.0.5, oder ein privates IPv4-Netzwerk, zum Beispiel 10.20.0.0/24. Es muss innerhalb von 10.0.0.0/8, 172.16.0.0/12 oder 192.168.0.0/16 liegen. Ein Netzwerk muss /16 oder enger sein.
  • eine private IPv6-Adresse oder ein Netzwerk innerhalb von fc00::/7. Ein Netzwerk muss /48 oder enger sein.
  • ein exakter Hostname, zum Beispiel erp.northwind.example. Ein Hostnameneintrag allein öffnet nichts. Er funktioniert nur zusammen mit einem Adress- oder Netzwerkeintrag, der die Adressen des Hostnamens enthält.

Eine URL mit einer Adresse, zum Beispiel http://10.20.0.5/, benötigt einen Adress- oder Netzwerkeintrag. Eine URL mit einem Hostnamen benötigt einen Hostnameneintrag und einen Adress- oder Netzwerkeintrag. AurionAI löst den Hostnamen auf, wenn der Workflow ausgeführt wird:

  • Öffentliche Adressen in der Antwort sind wie gewohnt erlaubt.
  • Jede private Adresse in der Antwort muss innerhalb eines Ihrer Adress- oder Netzwerkeinträge liegen. Ist eine private Adresse nicht enthalten, blockiert AurionAI die Anfrage.

Nicht akzeptiert: Wildcards (*.northwind.example), URLs, Ports, öffentliche Adressen, einteilige Hostnamen (zum Beispiel erp) sowie Hostnamen, die auf .svc, .cluster.local, .internal, .local oder .localdomain enden.

Eintrag hinzufügen

  1. Wählen Sie in der Seitenleiste Konfiguration.
  2. Öffnen Sie die Kategorie Systemeinstellungen.
  3. Wählen Sie SSRF-Freigabeliste.
  4. Wählen Sie Eintrag hinzufügen.
  5. Geben Sie in Host oder Adresse die Adresse, das Netzwerk oder den Hostnamen ein. Verwenden Sie eines der Formate unter „Eintragsformate" oben. Fügen Sie für einen Hostnamen auch einen Eintrag für seine Adresse oder sein Netzwerk hinzu.
  6. Optional: Geben Sie in Beschreibung (optional) an, wofür der Eintrag bestimmt ist.
  7. Wählen Sie Erstellen.

Seite SSRF-Freigabeliste mit dem Formular für einen neuen Eintrag.

Eintrag deaktivieren oder löschen

  • Um einen Eintrag zu deaktivieren oder zu aktivieren, wählen Sie die Stift-Schaltfläche des Eintrags. Sein Badge wechselt zwischen Aktiv und Inaktiv. Ein deaktivierter Eintrag erlaubt nichts.
  • Um einen Eintrag zu löschen, wählen Sie die Papierkorb-Schaltfläche des Eintrags und bestätigen Sie im Browserfenster.

Ergebnis

  • AurionAI zeigt Eintrag erstellt oder Eintrag gelöscht.
  • Änderungen werden sofort gespeichert. Die nächste Workflow-Ausführung verwendet sie.
  • Jeder neue, geänderte oder gelöschte Eintrag wird im Audit-Log festgehalten.
  • Ältere Einträge, die kein akzeptiertes Format verwenden (zum Beispiel ein Wildcard oder der Anfang einer URL), erlauben nichts. Löschen Sie diese und fügen Sie die Adresse erneut in einem akzeptierten Format hinzu.

Bei Problemen

  • Dieser Eintrag wird nicht akzeptiert. Verwenden Sie einen exakten Hostnamen oder eine private Adresse bzw. ein privates Netz, wie unter dem Feld beschrieben. Der Eintrag hat kein akzeptiertes Format, oder es handelt sich um eine Loopback-, Cloud-Metadaten-, AurionAI-Plattform- oder öffentliche Adresse. Verwenden Sie eines der Formate unter „Eintragsformate" oben.
  • Dieses URL-Muster existiert bereits Der Eintrag ist bereits in der Liste vorhanden. Aktivieren Sie stattdessen den vorhandenen Eintrag.
  • Eine Workflow-Anfrage an eine private Adresse wird weiterhin blockiert. Stellen Sie sicher, dass:
    • die Einträge Aktiv sind;
    • der Schritt ein HTTP-Anfrage- oder Webhook senden-Schritt ist;
    • die URL den Hostnamen oder die Adresse selbst enthält und keine Variable;
    • für einen Hostnamen ein Hostnameneintrag vorhanden ist und jede private Adresse des Hostnamens innerhalb eines Adress- oder Netzwerkeintrags liegt.

Verwandte Artikel

Kommen Sie nicht weiter? Stellen Sie eine Anfrage oder .